Güvenlik yeniden odak noktası haline geldiğinde, BIT güveni nasıl doğrulanabilir kılıyor?

Bu makaleyi okumak için 12 Dakika

BIT Güven Beyaz Kitabı V2.0 yayınlandı: 24 saatlik dinamik risk kontrolünden ABD hisse senedi varlık zincirine, "güvenlik"in ötesinde kullanıcılar başka neyi doğrulayabilir?

Kaynak: BIT

Son dönemde dijital varlık sektöründe art arda yaşanan güvenlik olayları, çok sayıda saldırı ve fon hırsızlığı platform güvenliğini yeniden piyasanın odak noktasına taşıdı. Saldırı yöntemleri sürekli evrilirken, riskler artık tek bir cüzdan veya teknik açıkla sınırlı kalmayıp hesap yetkileri, özel anahtar yönetimi, varlık transferleri ve üçüncü taraf altyapıları gibi birçok halkayı kapsayabiliyor.

Kullanıcılar açısından «platform güvenli mi» sorusundan daha gerçekçi olan soru şudur: Anormallik gerçekten meydana geldiğinde platform riski daha erken tespit edip engelleyebiliyor mu? Kritik işlemler için yeterli yetkilendirme ve denge-denetim mekanizması var mı? Varlıklar ABD hisse senetleri, RWA gibi farklı kategorilere doğru genişledikçe, güvenlik ve risk kontrol sistemi yeni iş sınırlarına ayak uydurabiliyor mu?

Bu bağlamda, küresel dijital finans hizmetleri platformu BIT (eski adıyla Matrixport), güvenlik, uyum, şeffaflık ve doğrulanabilirlik ekseninde BIT'in mevcut risk yönetişimi, güvenlik mimarisi, uyum denetimi ve bağımsız doğrulama mekanizmalarını sistematik olarak sunan ve ayrıca ABD hisse senetleri, RWA ve varlık yönetimi gibi farklı iş senaryolarındaki düzenleme, yönetişim ve şeffaflık düzenlemelerini kapsayan 《BIT Güven Beyaz Kitabı》V2.0'ı resmen yayımladı.

Bir platform giderek daha fazla varlık ve iş yükü taşıdığında, güvenlik ve güven nasıl eşzamanlı olarak genişleyebilir?

Risk gerçekten gerçekleşmeden önce platform ne yapabilir?

Hiçbir platform tek bir «güvenli» sözüyle tüm riskleri ortadan kaldıramaz. Kullanıcılar için daha dikkat çekici olan soru şudur: Risk ortaya çıkmadan önce bir savunma hattı var mı, anormallik meydana geldiğinde riski zamanında tespit edip sınırlayan bir mekanizma var mı?

BIT beyaz kitapta, risk yönetiminin yalnızca olay sonrası müdahale değil, işlem öncesi değerlendirme, işlem sırası izleme ve işlem sonrası işleme boyunca sürmesi gerektiğini vurguluyor. Kaldıraçlı finansman ve teminat gibi somut iş senaryolarında bu mekanizma ayrıca durum tespiti, risk parametrelerinin belirlenmesi, gerçek zamanlı izleme, risk uyarısı ile temerrüt ve tasfiye gibi aşamalarda hayata geçiriliyor.

Bu mekanizmalar nihayetinde kullanıcıların daha kolay algıladığı hesap ve varlık güvenliğine yansıyor. Örneğin BIT, anormal giriş, anormal cihaz ve anormal para çekme gibi yüksek riskli davranışları 24 saat dinamik olarak izliyor ve risk seviyesine göre uyarı, geciktirme veya manuel inceleme tetikliyor. Güvenlik sisteminin yapması gereken sadece «olaydan sonra ne olduğunu tespit etmek» değil, anormallik meydana gelirken mümkün olduğunca riski tanımlayıp zamanında müdahale etmektir.

Dijital varlık koruması düzeyinde, varlıkların büyük kısmı soğuk cüzdanlarda saklanıyor; özel anahtarlar ise FIPS 140-3 Level 3 seviyesindeki donanım güvenlik modüllerinde (HSM) depolanıyor ve düz metin olarak erişilemiyor veya dışa aktarılamıyor.

Ancak teknik araçlardan daha kritik soru şudur: İş ilerleyişi ile güvenlik gereksinimleri çatıştığında, "hayır" deme yetkisi kimde?

Whitepaper'a göre, ürün planlarında, sistem mimarisinde veya canlıya alma değişikliklerinde ciddi güvenlik riski varsa ya da güvenlik temel çizgileri ve uyumluluk gereksinimleri karşılanmıyorsa, BIT güvenlik ekibi "veto hakkına" sahiptir; varlık transferi, yetki değişikliği, işlem talimatları gibi kritik işlemlerde ise en az iki yetkili personelin birlikte katıldığı "dört göz ilkesi" uygulanır.

Bu mekanizmanın ardındaki mantık, riskin "gerçekleşmeyeceğini" vaat etmek değil, güvenliği mümkün olduğunca riskten önce tesis etmektir — anormallikleri daha erken tespit etmek, kısıtlamaları daha erken oluşturmak ve tek nokta hatasının etkisini mümkün olduğunca azaltmak.

Dijital varlıklardan ABD hisse senetlerine, güvenlik yeni iş sınırlarına nasıl ayak uyduruyor?

İş alanı dijital varlıklardan ABD hisse senetleri, RWA ve varlık yönetimi gibi alanlara uzandığında, "güvenlik" kavramı da değişir. Kullanıcılar artık yalnızca hesabın güvenli olup olmadığını, dijital varlıkların nasıl saklandığını değil, işi kimin yürüttüğünü, hangi düzenlemelere tabi olduğunu ve varlıkların hangi aşamalardan geçtiğini de önemsiyor.

ABD hisse senedi işi örneğinde, BIT yeni whitepaper'ında ilgili işin düzenleme, hesap, takas ve varlık saklama düzenlemelerini daha ayrıntılı açıkladı. BIT menkul kıymet işi Matrix Gelephu Pte Ltd tarafından yürütülmekte ve Gelephu Finansal Hizmetler Ofisi (GFSO) tarafından düzenlenmektedir; ilgili iş, geçerli düzenleme ve lisans düzenlemeleri, müşteri varlığı koruma mekanizmaları ve lisanslı üçüncü taraf finansal kuruluşlar aracılığıyla yürütülerek işin işleyişine uygun uyumluluk ve altyapı desteği sağlanır.

Kullanıcının gördüğü bir "alım"dır, ancak arkasında operasyon, düzenleme, işlem yürütme, takas ve varlık saklama gibi birçok halka birbirine bağlıdır. Finansal platformlar için iş sınırları genişledikçe, yalnızca yeni ürün girişleri eklemek değil, ilgili risk yönetişimi ve uyumluluk mekanizmalarının da eşzamanlı olarak genişletilmesi gerekir.

Aynı mantık BIT'in diğer işlerine de uzanır. Yeni whitepaper, Matrixport Asset Management (MAM)'ın düzenleme ve yönetişim bilgilerini daha ayrıntılı eklemekte ve BIT Grubu bünyesindeki kuruluşların Hong Kong, Butan, Singapur, İsviçre, Birleşik Krallık, ABD ve Britanya Virjin Adaları gibi birçok yargı bölgesindeki uyumluluk düzenini sunmaktadır.

Dijital varlıklardan geleneksel finansal varlıklara, BIT'in sunduğu şey belirli bir ürüne yönelik tek nokta güvenlik mekanizması değil, iş sınırları genişledikçe uzanan bir risk yönetişimi ve güven çerçevesidir.

Güvenliğin ötesinde, güven neden hâlâ "doğrulanabilir" olmayı gerektirir?

Risk yönetimi, risklerin nasıl tanımlandığını ve kontrol edildiğini ele alır, ancak birden fazla varlık ve iş kolu kapsayan bir finansal platform için kullanıcılara yalnızca «risk yönetimimiz var» demek yeterli değildir. Güvenlik, uyumluluk ve varlık düzenlemeleri yalnızca platformun kendisi tarafından açıklanabiliyorsa, güven nihayetinde «platformun söylediklerine inanmak» düzeyinde kalır.

Bu nedenle BIT, uyumluluk ve düzenleyici temel, bağımsız denetim ve güvence mekanizmaları ile teknolojik ve operasyonel şeffaflığı bütünsel güven sisteminin üç temel direği olarak belirlemiş; «güven»i daha somut sorulara ayrıştırabilir hale getirmiştir: Platformu kim denetliyor? Varlıklar nasıl korunuyor? Riskler nasıl kontrol ediliyor? Bu mekanizmalar bağımsız olarak doğrulanabiliyor mu?

Denetim ve güvence düzeyinde BIT; ISO yönetim sistemi denetimi, SOC bağımsız güvencesi, yıllık finansal denetim ve iç denetim gibi mekanizmalar aracılığıyla farklı tüzel kişilikler ve iş kollarının kapsamına göre çok katmanlı ve birbirini tamamlayan bir doğrulama sistemi oluşturarak tek bir denetim veya güvence mekanizmasına aşırı bağımlılığı önlemektedir.

Şeffaflık, bilginin görülebilir olup olmadığını ele alır; doğrulanabilirlik ise bu bilgilerin bağımsız olarak denetlenip denetlenemeyeceğini yanıtlar.

Sektör «güvenliği» yeniden tüm platformların gündemine taşıdığında, gerçekten önemli olan belki de «güvenliyiz» cümlesini tekrarlamak değil, kullanıcıların bu cümlenin arkasındaki mekanizmayı görebilmesini sağlamaktır.

Güven tek bir vaatten veya tek bir denetimden gelmez; daha çok uzun vadeli, sürekli kurumsal işleyişten ve dış doğrulamadan gelir. Güvenliğin sürekli çalışması, güvenin ise sürekli doğrulanması gerekir.

«BIT Güven Beyaz Kitabı V2.0» tam sürümü